Le mardi 18 août 2026 à 14:14
Le cybercriminel connu sous le pseudonyme ZeroBytes, déjà à l'origine de la revendication du piratage de la Direction générale des Finances publiques (DGFiP), affirme depuis ce lundi 17 août au soir avoir exfiltré 346 178 591 lignes de données appartenant à l'Éducation nationale, soit environ 43 gigaoctets répartis dans près de 2 500 fichiers. Des élèves, y compris des enfants scolarisés en maternelle et en élémentaire, leurs parents ou responsables légaux ainsi que des personnels du ministère seraient concernés, sur une profondeur d'archives supérieure à vingt ans. À ce stade, le ministère de l'Éducation nationale n'a ni confirmé ni infirmé cette revendication.
Le message a été publié lundi 17 août à 21h06 sur un forum cybercriminel, où il a été repéré par FrenchBreaches, un site spécialisé dans le recensement des fuites de données touchant la France. Le pirate y date l'intrusion du 15 juillet 2026 et annonce mettre en vente une partie de la base de données. Il précise lui-même que le total de 346 178 591 lignes correspond à un décompte brut et non dédupliqué, et renvoie vers une plateforme de publication externe pour le détail, le forum limitant selon lui la longueur des messages.
Trois ensembles de fichiers sont décrits dans cette revendication, analysée par FrenchBreaches. Le premier, d'environ 236 millions de lignes, contiendrait des exports issus de la Base Élèves 1er Degré (BE1D) et du système SCHAAF pour l'académie de Créteil (Val-de-Marne), des données SCONET de portée nationale pour l'année scolaire 2025-2026 concernant les collèges et les lycées, ainsi que des bases liées au suivi d'élèves en difficulté. Le deuxième, d'environ 109 millions de lignes, proviendrait d'I-Prof, l'espace utilisé par les personnels pour la gestion de leur carrière, avec des données issues des 33 académies françaises : près de 78 millions de lignes pour les seules conventions et environ 14 millions concernant les personnels. Le troisième, plus restreint mais sensible, porterait sur 602 000 lignes extraites de deux annuaires LDAP, ceux des académies de Créteil et de Versailles (Yvelines).
Des chiffres bruts qui ne correspondent pas à autant de victimes
Ces volumes ne peuvent pas être assimilés à un nombre de personnes. Un enseignant muté à cinq reprises, un élève passé par la maternelle puis le lycée, laissent chacun des dizaines de traces distinctes dans ces bases. Après déduplication, ZeroBytes avance le chiffre de 1 224 291 élèves uniques et de 4 350 358 identifiants de personnels. Le pirate apporte lui-même la nuance : la France compte, selon lui, environ 850 000 enseignants en activité, et ce total de 4,35 millions engloberait donc d'anciens agents, des retraités, des personnels administratifs, des accompagnants d'élèves en situation de handicap (AESH) et des agents territoriaux spécialisés des écoles maternelles (ATSEM).
Cantine, garderie et bulletins scolaires dans l'échantillon
C'est la nature des informations revendiquées qui constitue le point le plus sensible du dossier. Le site spécialisé Cyberattaque.org, qui indique s'être procuré l'échantillon diffusé par le pirate, a consulté un fichier concernant des élèves très jeunes, comportant des prénoms et des dates de naissance. S'y ajoutent des mentions qui dessinent une journée entière : cantine, garderie du matin puis du soir, étude surveillée, transport scolaire.
D'autres exports porteraient sur les livrets scolaires, avec des notes, des bulletins, des évaluations et des compétences. D'autres fichiers rattacheraient directement chaque enfant à ceux qui en ont la charge, ce qui ouvre la voie à une reconstitution partielle de l'environnement familial d'un mineur.
Des empreintes de mots de passe parmi les données revendiquées
Les deux extractions d'annuaires académiques comprendraient pour leur part des comptes réseau, les fonctions occupées, les établissements de rattachement et des mots de passe stockés sous forme d'empreintes cryptographiques. Une empreinte n'est pas un mot de passe en clair mais une valeur dérivée de celui-ci. Le risque demeure réel : un mot de passe court, ou employé ailleurs, se reconstitue parfois hors ligne selon l'algorithme retenu.
Sur le plan technique, ZeroBytes affirme avoir obtenu un accès VPN, c'est-à-dire une connexion à un réseau privé virtuel, à partir duquel il aurait circulé d'une application interne à l'autre. Dans un passage de sa revendication rapporté par FrenchBreaches, il assure : "Vous m'aviez détecté, mais vous ne m'avez pas coupé. Je suis donc resté infiltré sous vos yeux."
Ce que le ministère avait reconnu fin juillet
L'existence d'une intrusion, elle, est établie depuis plusieurs semaines. Le 31 juillet, le ministère de l'Éducation nationale a annoncé avoir été victime d'une "intrusion frauduleuse" dans l'un de ses systèmes d'information. Il y indiquait redouter que des données personnelles aient été extraites, celles d'"un nombre important" de ses agents. L'intrusion remonterait à la nuit du 25 juillet, le ministère affirmant l'avoir repérée moins de vingt-quatre heures plus tard. Il a alors fermé les accès externes au système visé, activé une cellule de crise et étendu ses vérifications à l'ensemble de ses systèmes. Une plainte a suivi. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la Commission nationale de l'informatique et des libertés (CNIL) ont elles aussi été saisies du dossier.
Deux écarts subsistent entre cette communication officielle et la revendication du pirate. Ce dernier situe son intrusion au 15 juillet, soit dix jours avant la date retenue par le ministère. Surtout, la Rue de Grenelle indiquait fin juillet que le système touché était dédié à la formation des personnels, en ajoutant qu'aucune donnée d'élève n'y figurait, alors que le périmètre annoncé par ZeroBytes couvre plusieurs applications de gestion de la scolarité.
Le précédent du piratage de la DGFiP
Cette nouvelle revendication intervient quelques jours après celle visant l'administration fiscale. Le 12 août, le même pseudonyme a mis en avant un fichier d'environ 678 000 lignes mêlant particuliers et professionnels. Le ministère de l'Action et des Comptes publics a confirmé le lendemain qu'un acteur malveillant s'était introduit fin juin dans le système d'information de la DGFiP après une usurpation d'identité, et que cet accès avait permis la consultation et l'extraction de données. La section cybercriminalité du parquet de Paris a ouvert une enquête le 15 août. Le pseudonyme ZeroBytes est également apparu dans plusieurs autres affaires récentes, visant notamment Intermarché ou la Fédération française de handball.
Le risque, en cas de confirmation, est double. Connaître le prénom d'un enfant, son école, l'heure à laquelle il rentre et le téléphone de sa mère suffit à donner à un faux message l'apparence d'un courriel légitime de l'établissement. Pour les agents, disposer à la fois du dossier administratif et de l'identifiant académique ouvre la voie à la prise de contrôle des comptes.
Le nombre exact de personnes concernées, l'authenticité de l'ensemble des fichiers annoncés et le lien précis entre cette revendication et l'intrusion reconnue fin juillet restent à établir.